Vulnerabilidade 'Beltdown2' no Cursor CLI Permitia Fuga de Sandbox e Execução de Código Arbitrário

A vulnerabilidade 'Beltdown2' expôs uma falha crítica no Cursor CLI, um editor de código com IA. O problema surgia quando um workspace (diretório de projeto) malicioso injetava um 'hook core.fsmonitor' no arquivo .git/config. Este hook, quando acionado, executava um script ou comando. O mecanismo de defesa do macOS Seatbelt sandbox, que deveria confinar o ambiente, não cobria os comandos Git internos do Cursor. Assim, mesmo uma simples requisição de leitura-apenas ativava o git ls-files, que por sua vez executava o hook malicioso. Isso permitia que comandos fossem executados fora da sandbox, com autoridade total do usuário logado.

O ponto cego era que o sandbox só envolvia as ferramentas de shell, deixando os próprios processos Git internos do Cursor desprotegidos e aptos a honrar as configurações de repositório comprometidas. O ataque não necessitava de comandos de shell explicitamente maliciosos; bastava a interação do Cursor com o repositório git. Embora a demonstração focasse na gravação de dados no diretório $HOME do usuário (o que o sandbox bloquearia para comandos de shell), o potencial de execução arbitrária de código era real.

Em nossa cobertura anterior de 4 de setembro de 2026, discutimos as vulnerabilidades críticas em agentes de IA onde arquivos .git maliciosos permitiam execução de código, uma classe de problemas que já incluía a 'Beltdown' original no Claude Code. O que mudou agora é a resposta específica do Cursor. Antes da correção, o Cursor não tinha NENHUM endurecimento nos seus caminhos Git, uma diferença marcante em relação a outros agentes.

A Anysphere, desenvolvedora do Cursor, corrigiu a 'Beltdown2' de forma robusta. A versão Cursor CLI 2026.08.04-aaa8809 agora aplica um endurecimento universal para todas as execuções Git. Em vez de adicionar flags -c core.fsmonitor=false em cada chamada Git, uma abordagem frágil e propensa a erros, a correção injeta variáveis de ambiente GIT_CONFIG. Isso desabilita globalmente core.fsmonitor, hooks personalizados e atributos de repositório, garantindo que o repositório malicioso não possa mais forçar a execução de código, independentemente do comando Git interno.

Essa falha sublinha um risco recorrente em agentes de IA que interagem com repositórios de código: a confiança implícita nos metadados do projeto. Para desenvolvedores, a mensagem é clara: a simples abertura de um projeto desconhecido, mesmo com o sandboxing ativado, pode ser perigosa se o ambiente de desenvolvimento não tiver proteções completas. Este incidente reforça a necessidade de fornecedores de IA implementarem sandboxes abrangentes, que isolem não apenas a execução de shell, mas todos os processos internos, incluindo os de controle de versão.

A classe de vulnerabilidades 'Beltdown' mostra que uma sandbox de “um processo por vez” não é suficiente quando ferramentas internas, como o Git, operam com acesso total ao sistema. A segurança de uma ferramenta de desenvolvimento baseada em IA é tão forte quanto seu elo mais fraco. A correção do Cursor é um passo positivo, mas destaca a complexidade de proteger ecossistemas de desenvolvimento que dependem de múltiplas ferramentas e interações com código externo.